12 maja 2017 r. Marcus Hutchins z Kryptos Logic znalazł próbkę kodu wirusa i ustalił, że oprogramowanie łączyło się z niezarejestrowaną domeną. Hutchins postanowił zarejestrować domenę na siebie, co zatrzymało infekowanie kolejnych komputerów. Dokładny cel łączenia się WannaCry z tą domeną nie jest znany, ale badacze spekulują, że mogła ona mieć za zadanie wyłączyć WannaCry w środowiskach diagnostycznych. Takie środowiska są typowo izolowane i odcięte od Internetu, ale jednocześnie przechwytują ruch i symulują odpowiedź na każdą domenę (również taką niezarejestrowaną). WannaCry miał się zatem nie uruchomić w takim symulowanym środowisku, co faktycznie utrudniłoby pracę badaczy, ale jednocześnie przyczyniło się do rozbrojenia zagrożenia.
Aktualizacja zabezpieczeń Poprawka eliminująca tę lukę bezpieczeństwa została wydana przez Microsoft 14 marca 2017 roku, czyli dwa miesiące przed atakami WannaCry. Jednak wiele komputerów pozostało narażonych ze względu na opóźnienia w instalacji aktualizacji zabezpieczeń. Dodatkowo użytkownicy systemu Windows XP, który nie był już wtedy wspierany przez Microsoft od kilku lat, siłą rzeczy nie otrzymali marcowej aktualizacji, ale system ten był nadal używany w 2017 roku.